Claude Opus 5.5 recusou-se a fazer a cirurgia no rato: Anthropic documenta um desvio de rota, o relato descreve uma parede

Na noite de 27 de outubro, um camundongo com epilepsia foi anestesiado e 250 nanolitros de uma terapia genética foram injetados em seu cérebro por meio de um braço estereotáxico motorizado. Um cirurgião humano abriu o crânio. Um veterinário licenciado aprovou cada passo irreversível e manteve um interruptor de segurança físico. Qual dos 19 vetores candidatos administrar e onde no cérebro colocá-lo foi escolhido por um agente de IA — e o modelo que fez a escolha, de acordo com o relato que seu operador publicou no X em 28 de outubro, foi o Claude Sonnet 5, que a Anthropic lançou em 30 de junho de 2026 e agora lista como legado. Dois modelos mais novos foram tentados primeiro. O Claude Opus 5.5, o Opus atual, lançado em 22 de setembro de 2026, recusou assim que detectou que a tarefa era biológica. O Claude Opus 5, lançado em 24 de julho de 2026, ensaiou todo o procedimento em água e papel quadriculado, e então se recusou a começar num animal vivo. Nenhum dos três é novo, e nada foi lançado esta semana — o evento é o que há de novo, e é a única razão pela qual este artigo existe.

O que segue separa três coisas que a cobertura misturou: o que o operador diz que aconteceu, o que a documentação publicada da Anthropic diz que deveria acontecer quando um modelo Claude encontra a biologia, e o que qualquer uma dessas coisas significa para uma equipe que opera agentes que têm contato com trabalho de laboratório. A primeira não é verificada e tem fonte única. A segunda é publicada, datada e se comporta de maneira diferente da anedota de um modo que importa. A terceira é a única parte sobre a qual você pode agir hoje.

A alegação, no detalhe que os resumos omitiram

A thread descreve uma configuração, não uma demonstração. Dezenove vetores de terapia gênica foram entregues ao agente em uma planilha. Ele recebeu um modelo murino de epilepsia, uma plataforma estereotáxica motorizada personalizada construída com base em um Arduino, com câmeras e controles de motor expostos como ferramentas, e um objetivo: reduzir convulsões. Ele escolheu um vetor que potencializa a sinalização GABA sob um promotor restrito a células GABAérgicas, derivou coordenadas de injeção de três artigos de pesquisa, observou um cirurgião realizar a craniotomia — uma etapa que não lhe era permitido tentar — e então operou o braço por conta própria, injetou 250 nanolitros e pausou 32 vezes em quadros de câmera para verificar o local de entrada em busca de sangramento. A supervisão é a parte que torna a história crível como engenharia: pontos de controle humano em toda ação irreversível, validadores de volume, aprovações vinculadas a hash e um veterinário com um botão de parada de emergência físico. O camundongo, segundo relatos, se recuperou.

O comportamento do modelo é o gancho. O Claude Opus 5.5 recusou-se de imediato ao reconhecer o conteúdo biológico. O Claude Opus 5 realizou uma simulação completa com água e papel quadriculado e depois parou no limiar da cirurgia ao vivo; o resumo de 29 de outubro da The Rundown sobre a thread cita-o a dizer que começar algo que não consegue terminar num animal anestesiado é pior do que não começar. O Claude Sonnet 5, nesse mesmo resumo, concluiu o procedimento do início ao fim.

A fonte é o relato de uma única pessoa. Gabriel Ocana-Santero é cofundador da Exin Therapeutics, uma startup de terapia gênica da YC W25, e a thread é dele; tudo o que vem depois — o relato-resumo, as postagens dos agregadores, os resumos em chinês — deriva dela. Não encontramos nenhum preprint, nenhum documento de protocolo, nenhuma referência a aprovação ética, nenhuma contagem de convulsões antes ou depois, nenhum vídeo da injeção e nenhuma confirmação de terceiros. "Recuperado" não está definido. A data do experimento é informada apenas como a noite anterior. Duas frases diferentes são atribuídas ao Claude Opus 5 entre as fontes, o que é a cara de uma paráfrase e também um lembrete de que toda citação aqui é de segunda mão. Trate todo o relato como uma alegação à espera de um artigo, não como um resultado.

O Claude mais recente é o que tem o nível de biologia mais rigoroso.

A ordenação das recusas na anedota não é aleatória, e corresponde às salvaguardas que a Anthropic documenta publicamente. Quando o Claude Opus 5.5 foi lançado em 22 de setembro, chegou com o nível de salvaguardas anteriormente reservado ao Claude Fable 5.1 — classificadores para cibersegurança, biologia e destilação. Para biologia, o artigo do centro de ajuda da Anthropic de 25 de setembro diz que o Opus 5.5 possui "classificadores de segurança semelhantes aos do Claude Fable 5 para biologia" e pode recorrer ao Claude Opus 5 em solicitações de uso duplo em áreas como virologia, toxicologia e design molecular, observando ainda que a maioria das solicitações a qualquer um dos modelos nunca chega a acionar um fallback. O Claude Opus 5, uma geração mais antigo, não faz fallback em biologia de modo algum; o artigo diz que ele usa as mesmas salvaguardas nesses tópicos que o Claude Opus 4.8. O Claude Sonnet 5 é anterior a todo esse arranjo.

• Claude Opus 5.5 — lançado em 22 de setembro de 2026, US$ 4 por entrada e US$ 20 por saída a cada milhão de tokens, classificadores de biologia da classe Fable 5, biologia de uso dual redirecionada para o Claude Opus 5, elegível para o Programa de Verificação em Ciências da Vida da Anthropic.

• Claude Opus 5 — lançado em 24 de julho de 2026, US$ 5 e US$ 25 por milhão de tokens, sem fallback de biologia, salvaguardas da era Opus 4.8, também elegível para verificação.

• Claude Sonnet 5 — lançado em 30 de junho de 2026, US$ 2 e US$ 10 por milhão de tokens, listado como legado com desativação não antes de 30 de junho de 2027, elegível para verificação.

Leia essas três linhas em conjunto e a anedota deixa de parecer três modelos discordando sobre ética. O modelo mais capaz e mais caro de raciocinar tem o gate mais restrito; o modelo que executou a cirurgia é o mais antigo, mais barato e menos protegido dos três. Isso é uma escolha de design funcionando conforme configurado, não um cara ou coroa.

O comportamento documentado é uma substituição. A API não a executa por padrão.

É aqui que o relato e a documentação divergem, de um modo que deveria mudar a forma como você constrói. O design da Anthropic para a biologia do Opus 5.5 não é um muro, é uma transferência: a solicitação é encaminhada ao Claude Opus 5, o fallback é tornado visível ("Todos os fallbacks são transparentes"), a resposta é rotulada com o modelo que respondeu e a resposta é cobrada pelas tarifas do modelo que respondeu. Uma recusa — uma parada total — é o que a documentação descreve para tentativas de destilação, nas quais os bloqueios explicitamente não fazem fallback.

O detalhe que explica muita coisa: a troca automática está ativada por padrão nos aplicativos Claude, mas, na API, a Anthropic diz que ela não está ativa por padrão — até que você a configure, o modelo retorna uma resposta 200 com um motivo de parada. Um harness de agente que lê essa resposta vê uma parada, não uma substituição. Então, "Claude Opus 5.5 recusou" é exatamente o que um pipeline não configurado pareceria, quer o classificador tenha interrompido a solicitação em si, quer o fallback simplesmente nunca tenha sido acionado. Duas leituras se encaixam igualmente bem no relato, e elas têm correções diferentes. E, se a troca estivesse configurada, o modelo que recusou pode ter sido o Claude Opus 5 respondendo no lugar do Opus 5.5, o que o operador só saberia pelo rótulo da resposta.

O detalhe de cobrança vale a pena conhecer antes de encaminhar biologia em volume. As solicitações interrompidas por um classificador de biologia antes de qualquer saída são cobradas, embora bloqueios em outras categorias não sejam. Uma resposta de fallback é cobrada separadamente, pelas tarifas do modelo que responde — e o alvo do fallback é o modelo mais caro: Claude Opus 5 a US$ 5 e US$ 25 por milhão de tokens, contra Claude Opus 5.5 a US$ 4 e US$ 20. Portanto, cada redirecionamento de biologia custa 25% mais por token do que o modelo solicitado, antes do crédito por cache miss que a Anthropic diz aplicar.

O classificador condiciona o sujeito, não o risco.

Os classificadores da Anthropic revisam tudo o que o modelo lê, incluindo memória, conteúdo de conectores, resultados de busca na web e arquivos — é por isso que conteúdo que você nunca digitou pode acionar uma parada — e a empresa afirma que suas verificações também levam em conta "uma série de sinais de confiança da conta", que é o motivo documentado para duas contas poderem receber respostas diferentes à mesma solicitação. Isso é um filtro de domínio, e a conta do camundongo mostra o que um filtro de domínio capta e o que não capta. Os riscos físicos naquele procedimento foram gerenciados por pessoas e hardware: um veterinário liberando cada etapa irreversível, um validador de volume, um botão de parada de emergência na mão de um humano. O que parou o modelo foi o vocabulário da biologia.

O contraste com os testes de recusa no mundo físico é gritante. Em 18 de setembro de 2026, o grupo de avaliação em robótica Robocurve publicou RoboHarm: 300 ensaios revisados por humanos nos quais três políticas operaram os mesmos braços bimanuais em cinco cenários encenados. O Claude Fable 5.1 recusou todas as 20 tentativas da instrução “esfaqueie a coisa que não é o pão” e nenhuma das outras 80; o GPT-6 Astra registrou duas recusas por segurança ao longo de suas execuções; fora daquela única cena, as duas políticas de fronteira registraram duas recusas por segurança em 160 ensaios. A recusa ali disparou diante de uma instrução cujo perigo estava na frase. A recusa aqui disparou diante de uma tarefa cujos perigos estavam todos sob controle humano. Esses são dois portões diferentes, e nenhum deles constitui um argumento de segurança para o trabalho autônomo de laboratório — o camundongo sobreviveu, se sobreviveu, por causa do veterinário e do botão de emergência, não porque o agente exerceu julgamento.

Onde a rota legítima realmente está

Se seu trabalho é biologia de verdade e as interrupções estão custando caro para você, o caminho publicado da Anthropic é um programa de verificação, e não um ajuste de prompt. O Life Sciences Verification Program está em beta e abrange Claude Mythos 5.1, Claude Opus 5.5, Claude Opus 5 e Claude Sonnet 5, com até 100 licenças por concessão de equipe, um conjunto refinado de salvaguardas de biologia destinado a impedir interrupções rotineiras e um add-on opcional High-risk Use para projetos como virologia ou pesquisa com toxinas. A contrapartida é monitoramento em vez de privacidade: o uso do programa é retido por 30 dias, e a retenção zero de dados não está disponível. As exclusões importam tanto quanto as inclusões — nem modelos Fable, nem cargas de trabalho com PHI, nem clientes apenas de provedores de nuvem, nem indivíduos não afiliados, nem planos Pro ou Max e, explicitamente, nem plataformas que repassam o acesso aos próprios clientes. Essa última é a linha que um roteador não pode cruzar em seu nome: salvaguardas de biologia flexibilizadas precisam ser uma concessão da sua organização, não um recurso de revendedor.

O que o roteamento lhe proporciona aqui é honestidade sobre qual modelo respondeu. O Claude Opus 5.5 está em nosso catálogo pelo preço de tabela da Anthropic, US$ 4 e US$ 20 por milhão de tokens, sem acréscimo, e o mesmo vale para o Claude Opus 5 a US$ 5 e US$ 25 e o Claude Sonnet 5 a US$ 2 e US$ 10 — uma única API para mais de 200 modelos com 0% de acréscimo, de modo que uma alteração de preço do fornecedor entra em vigor do nosso lado no mesmo dia em vez de na data de aniversário do contrato. Mais útil para esta história, a camada de roteamento registra o modelo que de fato produziu cada resposta, que é justamente a única coisa que um fallback não configurado esconde.

O que o roteamento não lhe oferece é uma forma de contornar uma parada de política. Uma recusa é uma resposta bem-sucedida de um modelo que se recusou, não uma falha do provedor, e o failover automático foi criado para a segunda categoria — tempos limite, limites de taxa, um provedor oscilando no meio da chamada. Direcionar o failover para a primeira categoria transformaria uma salvaguarda deliberada em uma corrida para encontrar o modelo mais permissivo do catálogo, o que é uma má ideia para um laboratório e pior ainda para um fornecedor que precisa responder por isso.

Cinco semanas depois de a Anthropic dizer que não estava fazendo isso

O momento é o que torna a alegação digna de registro. Em 23 de setembro de 2026, a Anthropic anunciou a primeira descoberta de seu próprio laboratório úmido: cerca de 950 agentes Claude rodando em paralelo por 21 horas e consumindo 210 milhões de tokens, peneirando mais de 200.000 sequências de transcriptase reversa até cerca de 3.500 candidatas e depois cerca de 20 finalistas, uma das quais sinalizou um arranjo de repetições uniformemente espaçadas adjacente a um gene de transcriptase reversa. O sistema foi batizado de ART, seguiram-se comparações com o CRISPR, as ações de edição gênica se movimentaram, e o trabalho subjacente é um preprint, não um resultado revisado por pares. No anúncio, o controle autônomo de equipamentos de laboratório foi apresentado como uma possibilidade futura condicionada a salvaguardas — o trabalho de bancada foi feito por cientistas humanos, em um laboratório BSL-1/BSL-2.

Cinco semanas depois, o fundador de uma startup afirma que um modelo Claude escolheu uma terapia e cravou a agulha no cérebro de um animal vivo, com humanos controlando as etapas irreversíveis. Essas não são a mesma alegação, e a segunda é a mais difícil: é uma afirmação de terceiros sobre exatamente a etapa que a Anthropic descreveu como ainda não acontecendo. Não encontramos nenhum comentário da Anthropic sobre isso. A ausência de comentário não é confirmação, e também não é negação — é o estado do registro em 30 de outubro.

O que resolveria isso

Um preprint faria a maior parte do trabalho: a justificativa do vetor, a derivação das coordenadas, a superfície de controle do equipamento, o registro do veterinário, as contagens de convulsões antes e depois, e vídeo suficiente para mostrar que as decisões do agente eram de fato do agente. Um segundo laboratório repetindo a injeção com um vetor diferente faria o resto. Nada disso existe ainda, e até que exista, a história é uma boa linha de discussão com uma descrição de aparelhagem excepcionalmente detalhada e nenhum dado.

No entanto, os fatos documentados não precisam de um artigo, e são eles que devem servir de base. O Opus atual é o modelo que, por design, para quando o assunto é biologia; o modelo que, segundo relatos, realizou a cirurgia é um Sonnet legado anterior a esse nível; e a API vai ocultar a substituição, a menos que você configure a alternância e leia o rótulo que diz quem respondeu. Se você estiver executando agentes em qualquer lugar próximo de um laboratório, essa última frase é toda a lição operacional desta semana.